{"id":85702,"date":"2020-06-18T13:42:59","date_gmt":"2020-06-18T11:42:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej"},"modified":"2020-06-18T13:42:59","modified_gmt":"2020-06-18T11:42:59","slug":"bhunter-vzlamyvaem-uzly-bot-setej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","title":{"rendered":"Bhunter \u2014 wir brechen in Botnetz-Knoten ein","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Virenanalysten und Sicherheitsforscher versuchen, so viele Muster neuer Botnetze wie m\u00f6glich zu sammeln. Zu diesem Zweck nutzen sie Honeypots.\u2026 Aber was, wenn man einen Schadcode in realen Bedingungen beobachten m\u00f6chte? Sein eigenes Server oder Router als Ziel setzen? Und was, wenn kein passendes Ger\u00e4t verf\u00fcgbar ist? Genau diese Fragen f\u00fchrten mich zur Entwicklung von bhunter \u2013 einem Tool, um Zugang zu Knoten von Botnetzen zu erhalten.<\/p>\n

\"Bhunter
\n<\/a><\/noindex><\/p>\n

Die Grundidee<\/h1>\n

\nEs gibt viele Wege, wie Schadsoftware verbreitet wird, um Botnetze zu vergr\u00f6\u00dfern: angefangen bei Phishing bis hin zur Ausnutzung von 0-Day-Schwachstellen. Doch die h\u00e4ufigste Methode bleibt nach wie vor das Erraten von SSH-Passw\u00f6rtern.<\/p>\n

Die Idee ist ganz einfach. Wenn von einem Botnetz-Knoten aus versucht wird, Passw\u00f6rter f\u00fcr Ihren Server zu erraten, wurde dieser Knoten wahrscheinlich selbst durch das Erraten einfacher Passw\u00f6rter \u00fcbernommen. Das bedeutet, um Zugriff zu erhalten, muss man ihm einfach mit 'Gegenseitigkeit' antworten.<\/p>\n

So funktioniert bhunter. Es \u00fcberwacht den Port 22 (SSH-Dienst) und sammelt alle Logins und Passw\u00f6rter, mit denen versucht wird, eine Verbindung herzustellen. Anschlie\u00dfend versucht es, unter Verwendung der gesammelten Passw\u00f6rter, sich mit den angreifenden Knoten zu verbinden.<\/p>\n

Funktionsweise<\/h1>\n

\nDie Software l\u00e4sst sich grob in zwei Hauptteile unterteilen, die in separaten Threads arbeiten. Der erste Teil ist das Honeypot. Er verarbeitet die Anmeldeversuche, sammelt einzigartige Logins und Passw\u00f6rter (in diesem Fall wird das Login-Passwort-Paar als Einheit betrachtet) und f\u00fcgt die IP-Adressen, die versucht haben, sich zu verbinden, zur weiteren Attacke in die Warteschlange.<\/p>\n

Der zweite Teil ist direkt f\u00fcr den Angriff verantwortlich. Der Angriff erfolgt in zwei Modi: BurstAttack (Angriff in der Warteschlange) \u2014 Durchgehen der Logins und Passw\u00f6rter aus einer allgemeinen Liste und SingleShotAttack (Einzelangriff) \u2014 Durchgehen der Passw\u00f6rter, die vom angegriffenen Knoten verwendet wurden, aber noch nicht zur allgemeinen Liste hinzugef\u00fcgt wurden.<\/p>\n

Um sofort eine gewisse Basis an Logins und Passw\u00f6rtern nach dem Start zu haben, wird bhunter mit einer Liste aus der Datei \/etc\/bhunter\/defaultLoginPairs initialisiert. <\/p>\n

Benutzeroberfl\u00e4che<\/h1>\n

\nEs sind mehrere M\u00f6glichkeiten vorgesehen, bhunter zu starten:<\/p>\n

Einfach mit dem Befehl<\/h5>\n

<\/p>\n

sudo bhunter<\/code><\/pre>\n
\nBei einem solchen Start gibt es die M\u00f6glichkeit, bhunter \u00fcber das Textmen\u00fc zu steuern: Anmeldenamen und Passw\u00f6rter f\u00fcr Angriffe hinzuzuf\u00fcgen, eine Datenbank mit Anmeldenamen und Passw\u00f6rtern zu exportieren und ein Ziel f\u00fcr den Angriff festzulegen. Alle gehackten Knoten k\u00f6nnen in der Datei \/var\/log\/bhunter\/hacked.log eingesehen werden.<\/p>\n
Verwendung von tmux<\/h5>\n
<\/p>\n
sudo bhunter-ts # Befehl zum Starten von bhunter \u00fcber tmux \nsudo tmux attach -t bhunter # Verbindung zur Sitzung herstellen, in der bhunter l\u00e4uft\n<\/code><\/pre>\n
\nTmux ist ein Terminal-Multiplexer, ein sehr n\u00fctzliches Tool. Es erm\u00f6glicht, mehrere Fenster innerhalb eines Terminals zu erstellen und diese Fenster in Paneele zu unterteilen. Mit tmux k\u00f6nnen Sie das Terminal schlie\u00dfen und sp\u00e4ter zur\u00fcckkehren, ohne laufende Prozesse zu unterbrechen. <\/p>\n
Das Skript bhunter-ts erstellt eine tmux-Sitzung und teilt das Fenster in drei Paneele. In der gr\u00f6\u00dften, befindet sich das Textmen\u00fc. Das obere rechte enth\u00e4lt die Logs des Honeypots, hier k\u00f6nnen Sie Meldungen \u00fcber Zugriffsversuche auf den Honeypot sehen. In der unteren rechten Paneele wird Informationen \u00fcber den Verlauf der Angriffe auf die Knoten der Botnetze und \u00fcber erfolgreiche Hacks ausgegeben.<\/p>\n
Der Vorteil dieser Methode gegen\u00fcber der vorherigen besteht darin, dass wir das Terminal ruhig schlie\u00dfen und sp\u00e4ter darauf zur\u00fcckkommen k\u00f6nnen, ohne dass bhunter seine Arbeit unterbricht. F\u00fcr diejenigen, die wenig mit tmux vertraut sind, empfehle ich  dieses Handbuch<\/a><\/noindex>.<\/p>\n
Als Dienst<\/h5>\n
<\/p>\n
systemctl enable bhunter\nsystemctl start bhunter<\/code><\/pre>\n
\nIn diesem Fall aktivieren wir den Autostart von bhunter beim Systemstart. In dieser Methode ist keine Interaktion mit bhunter vorgesehen, und die Liste der gehackten Knoten kann aus \/var\/log\/bhunter\/hacked.log abgerufen werden.<\/p>\n
Effizienz<\/h1>\n
\nW\u00e4hrend meiner Arbeit an bhunter konnte ich auf ganz unterschiedliche Ger\u00e4te zugreifen: Raspberry Pi, Router (insbesondere Mikrotik), Webserver und einmal sogar auf eine Mining-Farm (leider war der Zugang nur einen Tag lang verf\u00fcgbar, daher ist die Geschichte nicht besonders spannend). Hier ist ein Screenshot des Programms, der die Liste der gehackten Knoten nach ein paar Tagen Arbeit zeigt:<\/p>\n
\"Bhunter
\n
\nLeider hat die Effektivit\u00e4t dieses Werkzeugs meine Erwartungen nicht erf\u00fcllt: bhunter kann Passw\u00f6rter f\u00fcr Knoten tagelang ohne Erfolg testen, kann aber in wenigen Stunden mehrere Ziele kompromittieren. Dennoch reicht es f\u00fcr einen regelm\u00e4\u00dfigen Zustrom neuer Botnet-Proben.<\/p>\n
Die Effizienz wird durch Parameter wie das Land, in dem der Server mit bhunter steht, das Hosting und den Bereich, aus dem die IP-Adresse zugewiesen wird, beeinflusst. Aus meiner Erfahrung gab es einen Fall, in dem ich zwei virtuelle Server bei demselben Anbieter gemietet habe, und einer von ihnen wurde doppelt so h\u00e4ufig von Botnets angegriffen.<\/p>\n
Bugs, die ich bisher nicht behoben habe<\/h1>\n
\nBei Angriffe auf infizierte Knoten kann es in einigen Situationen schwierig sein, eindeutig zu bestimmen, ob das Passwort korrekt war oder nicht. Die Protokollierung solcher F\u00e4lle erfolgt in der Datei \/var\/log\/debug.log.<\/p>\n
Das Paramiko-Modul, das f\u00fcr die Arbeit mit SSH verwendet wird, verh\u00e4lt sich manchmal inkorrekt: Es geht in eine endlose Warteschleife, wenn es versucht, sich mit dem Knoten zu verbinden. Ich habe mit Timern experimentiert, aber das gew\u00fcnschte Ergebnis nicht erzielt.<\/p>\n
Woran muss noch gearbeitet werden?<\/h1>\n
<\/p>\n
Service-Name<\/h5>\n
\nGem\u00e4\u00df RFC-4253 tauschen Client und Server vor der Verbindung die Namen der Dienste aus, die das SSH-Protokoll implementieren. Der Name befindet sich im Feld \u201eSERVICE NAME\u201c, das sowohl in der Anfrage des Clients als auch in der Antwort des Servers enthalten ist. Dieses Feld ist ein String, und seinen Wert kann man mit Wireshark oder Nmap ermitteln. Hier ein Beispiel f\u00fcr OpenSSH:<\/p>\n
$ nmap -p 22 ***.**.***.** -sV\nStarte Nmap ...\nPORT   STATUS DIENSTLEISTUNG VERSION\n22\/tcp offen  ssh     <b>OpenSSH 7.9p1 Debian 10+deb10u2<\/b> (Protokoll 2.0)\nNmap abgeschlossen: 1 IP-Adresse (1 Host aktiv) in 0,47 Sekunden gescannt\n<\/code><\/pre>\n
\nIm Falle von Paramiko enth\u00e4lt dieses Feld jedoch eine Zeichenfolge wie \u00abParamiko Python sshd 2.4.2\u00bb, die Botnets abschrecken kann, die mit \u00abVermeidung\u00bb von Fallen ausgestattet sind. Daher halte ich es f\u00fcr notwendig, diese Zeichenfolge durch etwas Neutraleres zu ersetzen.<\/p>\n
Weitere Vektoren<\/h5>\n
\nSSH ist nicht das einzige Mittel zur Fernverwaltung. Es gibt auch Telnet und RDP, die ebenfalls in Betracht gezogen werden sollten.<\/p>\n
Erweiterung<\/h5>\n
\nEs w\u00e4re gro\u00dfartig, mehrere Fallen in verschiedenen L\u00e4ndern zu haben und zentral Logins, Passw\u00f6rter und gehackte Nodes in einer gemeinsamen Datenbank zu sammeln. <\/p>\n
Wo herunterladen?<\/h1>\n
\nZum Zeitpunkt des Schreibens des Artikels ist nur eine Testversion verf\u00fcgbar, die heruntergeladen werden kann von dem Repository auf Github<\/a><\/noindex>.
\n
Quelle: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432. \u0412 \u0441\u0432\u043e\u0438\u0445 \u0446\u0435\u043b\u044f\u0445 \u043e\u043d\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 honeypot’\u044b.\u2026 \u041d\u043e \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u0445\u043e\u0447\u0435\u0442\u0441\u044f \u043f\u043e\u043d\u0430\u0431\u043b\u044e\u0434\u0430\u0442\u044c \u0437\u0430 \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u043e\u043c \u0432 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0445 \u0443\u0441\u043b\u043e\u0432\u0438\u044f\u0445? \u041f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u043e\u0434 \u0443\u0434\u0430\u0440 \u0441\u0432\u043e\u0439 \u0441\u0435\u0440\u0432\u0435\u0440, \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440? \u0410 \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0435\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u043d\u0435\u0442? \u0418\u043c\u0435\u043d\u043d\u043e \u044d\u0442\u0438 \u0432\u043e\u043f\u0440\u043e\u0441\u044b \u043d\u0430\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438 \u043c\u0435\u043d\u044f \u043d\u0430 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 bhunter \u2014 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430 \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":85703,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-85702","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Bhunter \u2013 \u00dcberwachen Sie Knoten von Bot-Netzen | ProHoster","description":"Virenspezialisten und Sicherheitsforscher sind st\u00e4ndig bestrebt, so viele Proben neuer Botnetze wie m\u00f6glich zu sammeln. Zu diesem Zweck verwenden sie Honeypots.\u2026 Aber was, wenn man einen Schadcode unter realen Bedingungen beobachten m\u00f6chte? Sollte man seinen eigenen Server oder Router gef\u00e4hrden? Was, wenn das passende Ger\u00e4t nicht verf\u00fcgbar ist? Diese Fragen f\u00fchrten mich zur Entwicklung von bhunter \u2013 einem Tool, das den Zugriff erm\u00f6glicht.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Bhunter \u2014 \u0432\u0437\u043b\u0430\u043c\u044b\u0432\u0430\u0435\u043c \u0443\u0437\u043b\u044b \u0431\u043e\u0442-\u0441\u0435\u0442\u0435\u0439 | ProHoster","og:description":"\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432. \u0412 \u0441\u0432\u043e\u0438\u0445 \u0446\u0435\u043b\u044f\u0445 \u043e\u043d\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 honeypot'\u044b.\u2026 \u041d\u043e \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u0445\u043e\u0447\u0435\u0442\u0441\u044f \u043f\u043e\u043d\u0430\u0431\u043b\u044e\u0434\u0430\u0442\u044c \u0437\u0430 \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u043e\u043c \u0432 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0445 \u0443\u0441\u043b\u043e\u0432\u0438\u044f\u0445? \u041f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u043e\u0434 \u0443\u0434\u0430\u0440 \u0441\u0432\u043e\u0439 \u0441\u0435\u0440\u0432\u0435\u0440, \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440? \u0410 \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0435\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u043d\u0435\u0442? \u0418\u043c\u0435\u043d\u043d\u043e \u044d\u0442\u0438 \u0432\u043e\u043f\u0440\u043e\u0441\u044b \u043d\u0430\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438 \u043c\u0435\u043d\u044f \u043d\u0430 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 bhunter \u2014 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430 \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u0430","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-18T11:42:59+00:00","article:modified_time":"2020-06-18T11:42:59+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"85702","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:32:46","updated":"2022-09-27 21:52:04"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/85702","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=85702"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/85702\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/85703"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=85702"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=85702"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=85702"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}